Depannage avance¶

Ce que vous allez apprendre¶

• Identifier rapidement un probleme lie au registre a partir des symptomes
• Utiliser Process Monitor pour diagnostiquer les acces registre
• Comprendre et reparer la corruption du registre
• Resoudre le probleme du profil utilisateur temporaire
• Reparer un service endommage dans le registre

Diagnostic rapide : quel symptome, quelle cause ?¶

Avant de plonger dans les details, voici la table de correspondance entre les symptomes et leurs causes probables. C'est votre boussole de diagnostic.

Process Monitor : l'outil de diagnostic¶

Process Monitor (Sysinternals) est le stethoscope du registre : il ecoute toutes les operations en temps reel et vous montre exactement ce qui echoue.

Configuration en 3 etapes¶

Etape 1 -- Lancez Process Monitor en tant qu'administrateur.

Etape 2 -- Configurez les filtres pour reduire le bruit :

Etape 3 -- Reproduisez le probleme et analysez les resultats.

Corruption du registre¶

Comment Windows detecte la corruption¶

Chaque ruche possede un mecanisme d'auto-verification, comme le code de controle sur une carte bancaire. Au demarrage, Windows verifie :

• La coherence des numeros de sequence dans l'en-tete de la ruche
• L'integrite des signatures (regf pour la ruche, hbin pour les blocs)
• La validite des pointeurs internes (offsets des cellules)

Si un de ces controles echoue, le Configuration Manager tente une recuperation automatique.

Processus de recuperation automatique¶

graph TD
    A["Chargement de la ruche"] --> B{"Numeros de sequence<br/>identiques ?"}
    B -->|Oui| C["Ruche integre<br/>Chargement normal"]
    B -->|Non| D{"Fichier .LOG<br/>valide ?"}
    D -->|Oui| E["Rejouer les transactions<br/>du journal"]
    E --> F{"Recuperation<br/>reussie ?"}
    F -->|Oui| C
    F -->|Non| G["Tenter RegBack<br/>si disponible"]
    D -->|Non| G
    G --> H{"RegBack<br/>valide ?"}
    H -->|Oui| I["Restaurer depuis RegBack"]
    H -->|Non| J["Echec<br/>Mode recuperation"]

Pensez a ce diagramme comme a un plan d'evacuation : Windows essaie d'abord la porte principale (journal de transactions), puis la sortie de secours (RegBack), et en dernier recours demande de l'aide (mode recuperation).

Reparation manuelle¶

Quand la recuperation automatique echoue, vous devez intervenir depuis l'environnement de recuperation (WinRE).

Etape 1 -- Demarrer en mode recuperation

• Interrompez le demarrage 3 fois de suite pour acceder a WinRE
• Ou demarrez depuis un support d'installation USB
• Ouvrez une invite de commandes

Etape 2 -- Identifier les ruches corrompues

rem Check if hive files exist and their sizes
dir D:\Windows\System32\config\SYSTEM
dir D:\Windows\System32\config\SOFTWARE

 Repertoire de D:\Windows\System32\config

02/04/2026  14:30        19 267 584 SYSTEM

rem Check if RegBack copies are available
dir D:\Windows\System32\config\RegBack\

 Repertoire de D:\Windows\System32\config\RegBack

01/04/2026  03:00        18 874 368 SYSTEM
01/04/2026  03:00        89 128 960 SOFTWARE
01/04/2026  03:00           262 144 SAM
01/04/2026  03:00            28 672 SECURITY
01/04/2026  03:00           262 144 DEFAULT

Etape 3 -- Remplacer les ruches corrompues

rem Back up the corrupted hives first (always keep them!)
mkdir D:\RegBackup
copy D:\Windows\System32\config\SYSTEM D:\RegBackup\SYSTEM.corrupt
copy D:\Windows\System32\config\SOFTWARE D:\RegBackup\SOFTWARE.corrupt

        1 fichier(s) copie(s).

rem Restore from RegBack
copy D:\Windows\System32\config\RegBack\SYSTEM D:\Windows\System32\config\SYSTEM
copy D:\Windows\System32\config\RegBack\SOFTWARE D:\Windows\System32\config\SOFTWARE

        1 fichier(s) copie(s).

Profil utilisateur temporaire¶

Quand un utilisateur se connecte et voit "Profil temporaire", c'est comme arriver a l'hotel et trouver sa chambre habituelle condamnee : Windows l'installe dans une chambre temporaire a la place.

La cause est presque toujours une incapacite a charger le fichier NTUSER.DAT de l'utilisateur.

Diagnostic¶

rem Check the profile list in the registry
reg query "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList" /s

HKEY_LOCAL_MACHINE\SOFTWARE\...\ProfileList\S-1-5-21-...-1001
    ProfileImagePath    REG_EXPAND_SZ    C:\Users\Jean
    State               REG_DWORD        0x0

HKEY_LOCAL_MACHINE\SOFTWARE\...\ProfileList\S-1-5-21-...-1001.bak
    ProfileImagePath    REG_EXPAND_SZ    C:\Users\Jean
    State               REG_DWORD        0x0

Cherchez le SID de l'utilisateur concerne. Trois cas problematiques courants :

Resolution¶

Le cas le plus frequent est la double entree (SID + SID.bak) :

graph LR
    A["SID-1001 (profil vide)"] -->|Renommer en| B["SID-1001.old"]
    C["SID-1001.bak (bon profil)"] -->|Renommer en| D["SID-1001"]
    D --> E["Corriger RefCount et State"]
    E --> F["Redemarrer"]

Etape 1 -- Dans Regedit, renommez la cle du SID normal en .old.

Etape 2 -- Renommez la cle .bak pour supprimer le suffixe .bak.

Etape 3 -- Dans la cle renommee, corrigez les valeurs :

rem Set RefCount to 0 and State to 0
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-...-1001" /v RefCount /t REG_DWORD /d 0 /f
reg add "HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList\S-1-5-21-...-1001" /v State /t REG_DWORD /d 0 /f

L'operation a reussi.

Etape 4 -- Redemarrez la machine.

wmic useraccount where name='Jean' get sid

SID
S-1-5-21-1234567890-1234567890-1234567890-1001

Services endommages¶

Un service dont la configuration est corrompue dans le registre peut empecher le demarrage du systeme. C'est comme un rouage casse dans un mecanisme d'horloge : un seul element defaillant peut bloquer tout le systeme.

Localisation des services dans le registre¶

HKLM\SYSTEM\CurrentControlSet\Services\<NomDuService>

Valeurs critiques d'un service¶

Valeurs de Start (type de demarrage) :

Valeurs de Type :

Desactiver un service problematique hors ligne¶

Quand un service empeche Windows de demarrer, vous devez le desactiver depuis l'environnement de recuperation -- comme couper le courant sur un appareil defectueux avant de le reparer.

rem Load the SYSTEM hive from the offline Windows installation
reg load "HKU\OfflineSYSTEM" "D:\Windows\System32\config\SYSTEM"

L'operation a reussi.

rem Find the current ControlSet (check the "Current" value in Select)
reg query "HKU\OfflineSYSTEM\Select" /v Current

HKEY_USERS\OfflineSYSTEM\Select
    Current    REG_DWORD    0x1

La valeur 0x1 signifie que ControlSet001 est le jeu actif.

rem Disable the problematic service (set Start to 4 = disabled)
reg add "HKU\OfflineSYSTEM\ControlSet001\Services\ServiceProblematique" /v Start /t REG_DWORD /d 4 /f

L'operation a reussi.

rem Unload the hive
reg unload "HKU\OfflineSYSTEM"

L'operation a reussi.

Trouver quelle GPO a modifie une cle¶

Quand une valeur revient après correction manuelle, cherchez d'abord une GPO. Le registre n'est souvent que le résultat final ; l'autorité réelle peut être dans Active Directory.

Methode 1 : gpresult¶

gpresult /h rapport.html

Ouvrez rapport.html, puis recherchez le nom du paramètre, la clé ou la valeur. Le rapport indique les GPO appliquées et, selon le type de paramètre, le composant qui l'a écrit.

Methode 2 : regarder le chemin de la cle¶

Si la valeur est sous l'un de ces chemins, elle vient très probablement d'une politique :

HKLM\SOFTWARE\Policies\...
HKCU\Software\Policies\...

Comparer la valeur actuelle avec la valeur sous Policies permet de distinguer un réglage applicatif d'un réglage GPO.

Methode 3 : audit et evenements¶

Deux événements peuvent aider selon la source du changement :

Activer l'audit registre :

auditpol /set /subcategory:"Registry" /success:enable /failure:enable

Il faut aussi poser une SACL sur la clé surveillée. Sans SACL, activer la sous-catégorie ne suffit pas à produire les événements utiles.

Trouver les GPO qui ciblent un chemin registre¶

$targetKey = "HKLM\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate"

Get-GPO -All | ForEach-Object {
    [xml]$report = Get-GPOReport -Guid $_.Id -ReportType Xml
    if ($report.OuterXml -match [regex]::Escape($targetKey)) {
        [PSCustomObject]@{
            GPO    = $_.DisplayName
            Status = $_.GpoStatus
        }
    }
}

Codes d'erreur courants¶

Arbre de decision : symptome → outil → correction¶

flowchart TD
    A["Probleme registre"] --> B{"La cle existe ?"}
    B -->|Non| C["reg query / Get-ItemProperty"]
    C --> D{"Erreur acces refuse ?"}
    D -->|Oui| E["Lancer en admin ou verifier ACL"]
    D -->|Non| F["Cle supprimee ou jamais creee"]
    B -->|Oui| G{"Valeur correcte ?"}
    G -->|Non| H{"Sous Policies\\ ?"}
    H -->|Oui| I["GPO : gpresult /h pour identifier"]
    H -->|Non| J["Modification locale, Process Monitor pour tracer"]
    G -->|Oui| K{"Effet visible ?"}
    K -->|Non| L["Redemarrage requis ou service a relancer"]